CVE-2025-68147

Резюме

Open Source Point of Sale (opensourcepos) — это веб-приложение для точки продаж, написанное на PHP с использованием фреймворка CodeIgniter. Начиная с версии 3.4.0 и до версии 3.4.2, в поле конфигурации «Return Policy» (Политика возврата) существует уязвимость Stored Cross-Site Scripting (XSS). Приложение не выполняет должную санитизацию пользовательского ввода перед сохранением его в базу данных или отображением на чеках. Злоумышленник с доступом к «Store Configuration» (Конфигурация магазина) (например, недобросовестный администратор или учетная запись, скомпрометированная через отдельную уязвимость CSRF) может внедрить вредоносные JavaScript-нагрузки в это поле. Эти нагрузки выполняются в браузере любого пользователя (включая других администраторов и торговый персонал) при просмотре чека или завершении транзакции. Это может привести к перехвату сессии, краже конфиденциальных данных или несанкционированным действиям, выполняемым от имени жертвы. Уязвимость исправлена в версии 3.4.2 путем обеспечения экранирования вывода с помощью функции `esc()` в шаблоне чека. В качестве временной меры смягчения последствий администраторам следует убедиться, что поле «Return Policy» содержит только обычный текст, и строго избегать ввода любых HTML-тегов. Не существует обходного пути на уровне кода, кроме применения патча.

• CVE-2025-68147-OSPOS-Stored-XSSPoC

  PoC-репозиторий для CVE-2025-68147: хранимая межсайтовая сценарная уязвимость (XSS) в OpenSourcePOS. Уязвимость позволяет повысить привилегии с помощью вредоносной инъекции JavaScript в модуль Store Config. Включает детали полезной нагрузки и проверку исправления (v3.4.0). Исследователь безопасности: Адитья Сингх (Nixon-H).